For IT-sikkerhed og SOC

I en sikkerhedshændelse har SOC og IR-team ét mål: stoppe angrebet og få driften tilbage. Bevissikring har et andet: bevare sporene, så det senere kan dokumenteres, hvad der skete. De to mål trækker ofte i hver sin retning. Isolering, genopsætning, nulstilling af konti og oprydning er de rigtige skridt for driften, men de ændrer eller fjerner netop de artefakter, en forsikring, en leverandør eller en modpart senere vil spørge til. Siden her handler om, hvordan begge hensyn kan tilgodeses i samme hændelse.

Typiske situationer

Ransomware, hvor genopretning er i gang, og forsikringen beder om dokumentation af indgangsvej og tidslinje.
En kompromitteret konto i Microsoft 365, hvor det skal afklares, om data er læst eller sendt ud.
En IR-rapport, der skal bruges i en tvist med en leverandør eller i en forsikringssag, og som derfor skal kunne efterprøves.
En insider-hændelse, hvor en DLP- eller EDR-alarm skal underbygges med uafhængige spor.
En hændelse, der skal anmeldes som persondatabrud, og hvor omfanget skal afgrænses teknisk.

Det kan I selv

Sikre før oprydning. Eksportér EDR-telemetri, SIEM-data og cloudlogs, før de roterer, og før konti og maskiner nulstilles.
Føre indgrebslog. Notér hver isolering, hver blokering og hver ændring med tidspunkt og system. Se Log over indgreb under incident response.
Bevare rådata ved siden af SIEM. Normaliserede data i et SIEM er en kopi. Original-logs styrker beviset.
Tage hukommelse, hvor det giver mening. Før en maskine genstartes eller isoleres hårdt, kan RAM rumme det, disken ikke gør.
Holde fund og hypoteser adskilt. Det, der er observeret, og det, der antages, skrives hver for sig.

Her skal en uvildig ind

Når hændelsen kan ende i en tvist om ansvar, dækning eller leverance, og jeres egen rolle i forsvaret kan blive diskuteret.
Når IR-rapporten skal efterprøves, før den bruges som bevis. Se IR-rapporten som bevis.
Når sikringen skal ske parallelt med genopretning, uden at IR-teamet skal bruge tid på dokumentation til en senere sag.
Når indgangsvej eller dwell time er omstridt.

Rollefordeling

IR-teamet inddæmmer, analyserer angrebet og genopretter. Den uvildige sikrer sporene uafhængigt, dokumenterer kæden af ansvar og kan efterprøve IR-rapportens konklusioner. Der konkurreres ikke om IR-opgaven: Nielco IT sælger ingen IR-ydelser eller produkter, men har indsigt i og erfaring med incident response og hackerangreb og ved, hvad en IR-proces kræver. Hvem gør hvad, står på Samarbejde med IR-leverandør, SOC og MSP, og selve opgaven efter et angreb er beskrevet på Undersøgelse efter hackerangreb.

Forløbet efter første opkald, set fra teknikken, står på Når I ringer. En beredskabsaftale gør det muligt at have konflikttjek, kontaktpunkt og forberedt fjernadgang på plads, før hændelsen sker.

Hvem I taler med

John Nielsen, Nielco IT, har mere end 30 års erfaring med IT-sikkerhed, blandt andet fra finanssektoren, offentlige myndigheder og kritisk infrastruktur. John har været IT-sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol. Ingen produktsalg og ingen leverandørpartnerskaber. Fortrolighedsaftale på forespørgsel, og tavshedspligt gælder for alt IT-sagkyndigt arbejde.

Start her

Ring 70 13 63 23, hvis hændelsen er i gang.

Brug for en uvildig forensic-undersøgelse?

Digital forensics-undersøgelse Hvad en undersøgelse indeholder, og hvad I får.
Forensisk sikring Når data skal sikres nu og undersøges senere. Hastesager koster ekstra.
Second opinion på en teknisk rapport Gennemgang af metode, hash, tidszoner og konklusioner.
Kontakt Ring 70 13 63 23. Fortrolighedsaftale på forespørgsel; arbejdet er omfattet af tavshedspligt.

Afgrænsning

Siden handler om civile sager, interne undersøgelser og udenretlige tvister. Der gives ingen vejledning i at omgå sikkerhed eller skaffe sig adgang til andres enheder og konti. Læs mere: Afgrænsning.